ONLYOFFICE 10.0：40件を超える最新のセキュリティ修正を詳しく解説

2026年10月14日著者：Ksenija

セキュリティは、ONLYOFFICEのすべてのリリースに欠かせない要素です。脆弱性が報告されると、私たちのチームは迅速に修正に取り組み、皆さまの文書、ユーザー、インフラを守っています。

ONLYOFFICE 10.0には、オンラインエディタとデスクトップアプリの両方を対象とした40件を超えるセキュリティ修正が含まれています。対象は、文書の変換、PDFの処理、マクロ、連携、サーバー設定など多岐にわたります。機密性の高い業務でONLYOFFICEを利用している組織にとって、今回のリリースは保護をさらに一段階強化するものです。

変更点を見ていきましょう。

修正の詳細：AI()関数のXSS脆弱性

今回のリリースで行った修正のひとつが、AI()関数の「Value」フィールドに存在したXSS脆弱性への対処です。この脆弱性が悪用されると、エディタが動作しなくなるおそれがありました。

XSSとは何でしょうか。クロスサイトスクリプティング（XSS）とは、他のユーザーが開くコンテンツに悪意のあるスクリプトを埋め込む攻撃です。スクリプトが実行されると、アプリケーションの動作を妨げたり、ユーザーに表示される内容を書き換えたり、本来アクセスできないはずのデータにアクセスしようとしたりします。

この修正が重要な理由：

エディタを使える状態に保つ。細工された値によってエディタがクラッシュすることがなくなり、チームは作業を続けられます。
AIを活用したワークフローを守る。AI機能は、日々扱うコンテンツのより多くの部分を処理するようになっています。そのため、AI機能が受け付ける入力は安全でなければなりません。
共有文書全体のリスクを減らす。共同作業の環境では、ひとつの悪意あるファイルが多くのユーザーに届く可能性があります。この穴をふさぐことで、その文書を開くすべての人が守られます。

オンラインエディタのセキュリティ修正

ONLYOFFICE 10.0では、オンラインエディタの次の脆弱性を修正しました。

DOCX文書のハイパーリンクにおけるXSS脆弱性を修正
マクロのサンドボックス回避を修正
XLSからXLSXへの変換時の不正なメモリ書き込みを修正
AIアシスタント作成時の「名前」フィールドにおけるXSS脆弱性を修正
PDF印刷時の認可回避を修正
DOCXで循環するスタイル継承チェーンを処理する際のコンバーターのクラッシュを修正
旧形式の文書の変換中にOLEデータを読み込む際のスタックバッファオーバーフローを修正
PDFの画像マスクのレンダリング時のヒープバッファオーバーフローを修正
Cookieへのアクセスを伴うマクロのサンドボックス回避を修正
Document Builder APIのnative.GetFileBinaryメソッドを介したOSファイルへのアクセスを修正
エディタのトークンを使ってDocument Builderにアクセスできる問題を修正
/ai-proxyエンドポイントのSSRF脆弱性を修正
DOCからDOCXへの変換時の範囲外読み取りを修正
PPTのメタファイル処理時の範囲外読み取りによって、生成されたPPTXでメモリの内容が漏えいする問題を修正
DOCファイルの文字書式を解析する際の範囲外読み取りを修正
DOCファイルのピーステーブルを解析する際の範囲外読み取りを修正
PDF文書に埋め込まれたJavaScriptが実行される問題を修正
WOPIエンドポイントのSSRF脆弱性を修正
特定のDOCXファイルの変換時に発生する二重解放を修正
DOCファイルのフォントテーブルを解析する際の範囲外読み取りを修正
文書変換中の整数オーバーフローに起因するヒープの範囲外書き込みを修正
スプレッドシートエディタの関数の引数ウィンドウにおけるXSS脆弱性を修正
PDFファイルのアクションに追加された悪意あるJavaScriptが実行される問題を修正
HMLファイル処理時のパストラバーサル脆弱性を修正
変換中にアーカイブを展開する際の任意のファイル書き込みを修正
EPUB変換時のローカルファイルの読み取りを修正
Document Builderのリクエストを介してruntime.jsonファイルを作成できる問題を修正
「レビュー」パネルのフォント名またはスタイル名を介したドキュメントエディタのXSS脆弱性を修正
/baseurlページの反射型XSS脆弱性を修正
匿名のWOPI変換・編集リクエストに対してトークンが発行され、Document Builder APIで受け付けられていた問題を修正
XLSからXLSXへの変換時の範囲外読み取りを修正
runtime.jsonを介してログ設定に任意のファイルシステムパスを指定できる問題を修正
WOPI経由で作業する際の共同編集セッションの乗っ取りを修正
WOPIを介した新規ファイル作成のテンプレートハンドラーにおけるパストラバーサル脆弱性により、サーバー設定が漏えいする問題を修正
DocumentServerのDockerイメージの脆弱性を修正
XPSファイルのフォント処理時のスタックバッファオーバーフローを修正
文書への貼り付け時のHTMLプラグインにおけるXSS脆弱性を修正
マルチテナントモードで、シークレットが設定されていないテナントの認証の問題を修正
EMF+ビットマップ処理時の範囲外読み取りによって、メモリの内容が漏えいする問題を修正
XLSのハイパーリンク処理時の範囲外読み取りによって、メモリの内容が漏えいする問題を修正
WMFのレンダリング時の範囲外読み取りによって、生成された文書でメモリの内容が漏えいする問題を修正
documentserver-flush-cacheスクリプトを介した権限昇格を修正
DockerイメージのOpenSSLにおけるCVE-2022-3602およびCVE-2022-3786の脆弱性を修正
文書変換時のCVE-2022-23308の脆弱性を修正

デスクトップエディタのセキュリティ修正の全一覧はこちらでご確認いただけます。

安全を保つために：ONLYOFFICE 10.0へアップデートを

これらの修正をすべて活用するいちばん簡単な方法は、インストール環境を最新の状態に保つことです。

現在のバージョンを確認する。特にセルフホスト環境やオンプレミス環境では重要です。
公開されている変更履歴を確認する。Docker、WOPI連携、マルチテナントモードなど、自社の構成にどの修正が該当するかを確認しましょう。
バージョン10.0にアップグレードする。ONLYOFFICE公式サイトのインストールパッケージを使うか、ヘルプセンターをご覧ください。
組織全体のデスクトップアプリをアップデートする。これにより、すべてのエンドポイントを同じように保護できます。

よくある質問

これらの修正は、オンラインエディタとデスクトップエディタの両方に適用されますか？

ほとんどの修正は両方に適用されます。一部はどちらか一方に固有のもので、たとえばWOPIやJWTに関連する一部の修正はオンラインエディタのみ、CEF固有の一部の問題はデスクトップアプリのみに影響します。

ONLYOFFICEをオンプレミスで使っている場合、アップデートは必要ですか？

はい。オンプレミスやセルフホストの環境は、自動ではアップデートされません。バージョン10.0のすべてのセキュリティ修正を活用するため、できるだけ早くアップデートすることを強くおすすめします。

マクロのサンドボックス回避とは何で、なぜ重要なのですか？

ONLYOFFICEは、マクロが本来アクセスすべきでないものにアクセスしないよう、隔離された環境（「サンドボックス」）でマクロを実行しています。サンドボックス回避とは、マクロがその制限から抜け出せてしまうことを意味します。今回のリリースでは、ブラウザのCookieへのアクセスを可能にしていたものを含め、2つの回避を修正しました。これらの修正は、共有文書や機密文書でマクロを実行するユーザーを守ります。

ONLYOFFICE 10.0では、PDFファイルをより安全に開けるようになりましたか？

はい。埋め込まれたJavaScriptの実行、ファイルのアクションに含まれる悪意あるJavaScript、印刷時の認可回避、PDF文書からの任意のファイル削除など、PDFに関連する複数の脆弱性を修正しました。PDFは悪意あるコンテンツの一般的な侵入経路であるため、外部から受け取った文書を処理する組織にとって、これらの修正は特に重要です。

ONLYOFFICEは脆弱性の報告にどのように対応していますか？

私たちはすべての報告を真摯に受け止めています。社内テスト、コミュニティからの報告、セキュリティ研究者からの報告のいずれであっても、脆弱性が特定されると、チームは迅速に修正の開発とリリースに取り組みます。また、各バージョンで何に対処したのかをユーザーが正確に確認できるよう、変更履歴を公開しています。

セキュリティ上の脆弱性はどこに報告すればよいですか？

ONLYOFFICEでセキュリティ上の問題を発見した場合は、公式のセキュリティ窓口security@onlyoffice.comまで、責任ある形でご報告ください。セキュリティに関するお問い合わせページもご利用いただけます。いただいた報告はすべて確認し、できるだけ早く問題に対処できるよう協力して取り組みます。

最近報道された脆弱性（CVE-2021-3199）は、ONLYOFFICEで修正されていますか？

はい。最近の報道で取り上げられた脆弱性（CVE-2021-3199）は、ONLYOFFICEのエディタのバージョン5.6.3で修正済みであり、現在のバージョンには影響しません。古いバージョンを使い続けている方には、上記のすべてのセキュリティ修正も含まれるONLYOFFICE 10.0へのアップデートを強くおすすめします。

注記：リリースのお知らせでは修正した脆弱性を約35件とご案内した一方、セキュリティに関する記事では40件以上とお伝えしていることにお気づきの方もいらっしゃるかもしれません。どちらの数字も公開時点では正確なものでした。2つの記事の公開の間に追加の修正が確定して変更履歴に加わったこと、またセキュリティの記事ではオンラインエディタに加えてデスクトップエディタも対象としていることによる違いです。本記事が全体像を反映しています。